ビヘイビア法とは？びへいびあほう
ビヘイビア法とは、検査対象のプログラムを実行し、その振る舞い（ファイルの書換え、外部への通信、レジストリの変更、他プロセスへの介入など）を監視して異常を判定することでマルウェアを検出する手法。既知のパターンに依存しないため、定義ファイルに無い未知の脅威も検出できる可能性がある。
最終更新：2026-10-06
この語が出る過去問を解く →背景
パターンマッチングは既知の検体と照合する方式であるため、定義ファイルが配布されるまでの間は原理的に無防備になる。検体をわずかに変えるだけで照合が外れることもあり、既知への対処だけでは追いつかなくなった。そこで「何であるか」ではなく「何をしているか」で判定する方式が併用されるようになった。監査では、採用している検出方式の違いが残存リスクの説明に直結する。
具体例
実行直後に多数のファイルを次々と暗号化し始める挙動を検知して、プロセスを停止し隔離する。仮想環境で検体を実際に動かして挙動を観測するサンドボックス型の製品も、この考え方に立っている。
試験での引っ掛け
既知のパターンと照合するのはパターンマッチング法で、ビヘイビア法は挙動を見る点が異なる。ハッシュ値の変化から改ざんを見つけるインテグリティチェック法とも別物である。挙動による判定は正当なプログラムを誤検知することがあり、検知が即断定を意味しない点も押さえる。
関連用語
出た過去問
出典：平成28年度 春期 システム監査技術者試験 午前Ⅱ 問20（IPA）
ウイルスの検出手法であるビヘイビア法を説明したものはどれか。
正解：ウイルスの感染や発病によって生じるデータ書込み動作の異常や通信量の異常増加などの変化を監視して,感染を検出する。
要点：ビヘイビア法は動作の異常を監視して未知のウイルスも検出する
ビヘイビア法は、プログラムの振る舞いそのものを監視してウイルスを検出する手法である。既知のパターンに依存せず、不審なファイル書込みやレジストリ操作、通信量の異常増加といった動作の変化から感染を判断するため、未知のウイルスにも対応しやすい。反面、正常な動作を誤検知する可能性がある。
出典：平成31年度 春期 システム監査技術者試験 午前Ⅱ 問21（IPA）
マルウェアの検出手法であるビヘイビア法を説明したものはどれか。
正解：マルウェアの感染や発病によって生じるデータの読込みと書込みの動作や通信などを監視して,マルウェアを検出する。
要点：ビヘイビア法は動作の監視で未知のマルウェアも検出する
ビヘイビア法は、検体の振る舞いを監視して不正の兆候を判断する検出手法である。既知のパターンに依存せず、不審な読み書きや外部通信といった動作の異常からマルウェアを見つけるため、未知の検体にも対応しやすい。反面、正常な動作を誤って検出する可能性がある。
出典：令和4年度 秋期 システム監査技術者試験 午前Ⅱ 問19（IPA）
マルウェアの検出手法であるビヘイビア法を説明したものはどれか。
正解：マルウェアへの感染によって生じるデータの読込みの動作、書込みの動作、通信などを監視して、マルウェアを検出する。
要点：ビヘイビア法は実際の挙動を監視して未知のマルウェアも検出する
ビヘイビア法（動的ヒューリスティック法）は、検査対象を実際に動かして、ファイルの読み書き、レジストリの改変、外部への通信といった挙動を監視し、マルウェアらしい振る舞いを検出する手法である。既知のパターンに依存しないため未知のマルウェアにも対応できるが、正常な処理を誤検知する可能性がある点が課題となる。
出典・参考
解説は資格暗記が独自に作成しています。過去問の出典は各問題に記載のとおりです。